NATとは何か：IPアドレス変換で起きること

Network Address Translation（NAT）は、主に「内部ネットワーク側のIPアドレス」と「外部ネットワーク側のIPアドレス」を、通信の途中で対応づけて変換する仕組みです。たとえば家庭やオフィスのルーターのように、外部（インターネット）へ出ていく窓口が1つに集約されると、内部の複数端末は共通の外側IPアドレスを使って外部へ通信できます。このときNAT装置は、どの内部端末の通信に対応するかを区別するために、IPアドレスだけでなくポート番号も併用して管理します。

ここで重要なのは、NATは「外部が内部を直接識別できる度合い」を下げる方向に働き得る一方で、通信そのものの内容を守る仕組み（暗号化）や、なりすましを防ぐ仕組み（認証）とは別物だという点です。NATが作るのは、見え方と対応のルールであり、安全性の結果は“何が許可され、どう扱われるか”に強く依存します。

簡単なモデル：内部→外部の対応表

NATの基本イメージは「対応表（セッション管理）」です。内部の端末が外部のサーバへ接続するとき、NAT装置は次のような処理をします。

  • 内部端末の送信元IPを、外側に向けたNAT側のIPへ置き換える
  • 必要に応じて送信元ポートも変換し、衝突しないように調整する
  • 外部から戻ってくる通信は、その対応表に従って内部のどの端末宛てかを再び復元する

この結果、外部から見ると「通信している主体」が内部端末そのものではなく、NAT装置（またはその外側インターフェース）に置き換わって観測されます。つまり、内部端末のIPアドレスは外部に直接露出しにくくなります。

ただし、この対応表は“永遠に開きっぱなし”ではありません。一般にセッションごとに有効期限やタイムアウトがあり、一定時間通信がなければ対応が消えます。NATは出入口のルールを作ることで、外部から内部へ「自動的に」自由に入ってこられる状態を避けやすくしますが、構成次第で穴ができます。

NATが「守る2つの理由」と、守らない範囲

NATがあなたを守ると語られることがあるのは、主に次の2点です。

  1. 外部からの到達性が下がり得る 内部端末へ“外部側からそのまま”接続するには、内部端末に対応づく必要があります。NATは内部端末ごとの直接の入り口を外部に常時公開するわけではなく、外部から見えるのは基本的にNAT側の窓口です。そのため、単純な試行では到達しにくくなることがあります。

  2. 内部の見え方が変わる 外部の観測点では、内部のIPが見えにくくなり、通信元がNAT側のIPとして見える傾向があります。これはネットワーク構成の“見通し”を悪化させるため、攻撃者にとっての情報量を減らす方向に働くことがあります。

一方で、NATが守らない範囲もはっきりあります。